Wordfence: 319 dobësi në shtojcat e WordPress brenda një jave
Raporti i fundit i Wordfence regjistroi 319 dobësi në shtojcat e WordPress në 222 shtojca midis 21 dhe 27 shtatorit 2026, dhe 156 studiues sigurie kontribuan me gjetje atë javë. Këto dobësi janë shtuar në Bazën e të Dhënave të Dobësive të Wordfence Intelligence, e cila është falas për t'u pyetur përmes ndërfaqes së saj web, përmes një API (një mënyrë që softueri të kërkojë të dhëna automatikisht), dhe përmes njoftimeve webhook (alarme në kohë reale të dërguara në një sistem tjetër). Baza e të dhënave përmban më shumë se 40,000 regjistrime dobësish të WordPress, dhe Wordfence thotë se misioni i saj është t'i bëjë këto të dhëna të aksesueshme në mënyrë që pronarët e faqeve, ofruesit e hostimit dhe ndërmarrjet të mund të aplikojnë siguri me shtresa, e quajtur edhe mbrojtje në thellësi.
Nga 319 dobësitë, 306 tashmë kanë arna të disponueshme nga autorët e shtojcave, ndërsa 13 mbeten të pa korrigjuara në kohën e raportit. Duke përdorur Sistemin e Përbashkët të Vlerësimit të Dobësive (CVSS, një shkallë standarde 0 deri në 10 për vlerësimin e të metave të sigurisë), Wordfence i klasifikoi 226 si me ashpërsi mesatare, 79 si me ashpërsi të lartë dhe 14 si me ashpërsi kritike. Lloji më i zakonshëm i dobësisë ishte skriptimi ndër-faqesh (XSS), ku një sulmues mund të injektojë skript me qëllim të keq në një faqe të parë nga të tjerët, me 96 raste. Mungesa e autorizimit përbënte 59, anashkalimi i autorizimit përmes një çelësi të kontrolluar nga përdoruesi për 26, injeksioni SQL (manipulimi i pyetjeve të bazës së të dhënave) për 24, dhe ekspozimi i informacionit të ndjeshëm ndaj një aktori të paautorizuar për 22. Lloje të tjera të dukshme dobësish përfshinin menaxhimin e papërshtatshëm të privilegjeve (14), deserializimin e të dhënave të pabesueshme (11), traversimin e shtegut (11), injeksionin e kodit (8), falsifikimin e kërkesës nga ana e serverit (7) dhe falsifikimin e kërkesës ndër-faqesh (4).
Raporti gjithashtu mbulon një dobësi në Versionin Core të WordPress 7.1.1 dhe më të hershëm: një përfshirje e skedarëve lokalë e paautentikuar përmes traversimit të shtegut të funksionit locate_template(). Përfshirja e skedarëve lokalë i lejon një sulmuesi të mashtrojë një aplikacion web për të ngarkuar një skedar nga serveri që nuk duhet të ekspozohet, duke lexuar potencialisht konfigurime të ndjeshme ose kod burimor. Ekipi i Inteligjencës së Kërcënimeve të Wordfence, i cili shqyrton çdo dobësi për të përcaktuar ndikimin dhe ashpërsinë dhe për të verifikuar që Firewall-i i Wordfence ofron mbrojtje të mjaftueshme, vendosi tre rregulla të reja firewall javën e kaluar. Këto identifikohen si WAF-RULE-959, WAF-RULE-960 dhe WAF-RULE-961, por detajet e tyre janë të redaktuara ndërsa Wordfence punon me shitësit e prekur për arna. Klientët që përdorin Wordfence Premium, Care ose Response e morën atë mbrojtje menjëherë, ndërsa përdoruesit falas të Wordfence do të marrin të njëjtën mbrojtje të përmirësuar pas një vonese 30-ditore. Dobësia e përfshirjes së skedarëve lokalë në WordPress Core u mbrojt gjithashtu menjëherë për klientët Premium, Care dhe Response.
222 shtojcat e prekura përfshijnë pothuajse çdo pjesë të ekosistemit të WordPress. Ndërtuesit e faqeve dhe shtesat e tyre përfshijnë Elementor, ElementsKit, Premium Addons për Elementor, HappyAddons për Elementor, King Addons, JetEngine dhe JetTricks. Shtojcat e tregtisë elektronike dhe donacioneve të listuara përfshijnë GiveWP, SureCart, Easy Digital Downloads, Payment Plugins për PayPal WooCommerce, Paymob për WooCommerce, Razorpay Payment Button, dhe disa shtojca të filtrimit të produkteve dhe feed-eve të WooCommerce. Ndërtuesit e formularëve të prekur përfshijnë Ninja Forms, Forminator, JetFormBuilder, Happyforms dhe HT Contact Form. Mjetet e caching-ut dhe optimizimit të imazheve si 10Web Booster, Asset CleanUp: Page Speed Booster, Core Web Vitals & PageSpeed Booster, Optimole dhe ShortPixel Image Optimizer janë në listë. Mjetet e sigurisë si All-In-One Security (AIOS), Malcure Malware Shield, SSL Zen dhe Easy Hide Login gjithashtu shfaqen, si dhe shtojcat e galerive si NextGEN Gallery dhe Modula, shtojcat e anëtarësimit si s2Member dhe Paid Membership Subscriptions, shtojcat e rezervimeve si Booking Calendar dhe Bookly, dhe shumë të tjera. Lista e plotë është e disponueshme në raportin e Wordfence.
Midis 156 studiuesve që kontribuan, Ananda Dhakal raportoi më shumë me 34 dobësi, i ndjekur nga Karthik Ramakrishnan dhe Intrudify me 11 secili. Tetë studiues raportuan secili nga 8 dobësi: vuxvinh, Jakub Herman, Artus KG, Wordfence PRISM dhe nh4tvd janë midis tyre. Dhjetëra studiues të tjerë raportuan një ose dy gjetje. Wordfence inkurajon zbulimin e përgjegjshëm përmes Programit të tij të Shpërblimeve për Gabime, i cili ofron shpërblime për dobësitë brenda fushëveprimit dhe liston studiuesit në një tabelë publike liderësh.
Për pronarët e faqeve, vëllimi i dobësive të shtojcave është një kujtesë se ekosistemi i WordPress ndryshon vazhdimisht. Për shkak se më shumë se 300 dobësi u korrigjuan në një javë të vetme, aplikimi i shpejtë i përditësimeve të shtojcave është një nga mbrojtjet më efektive. 13 të metat e pakorrigjuara dhe çështja e përfshirjes së skedarëve lokalë në WordPress Core nënkuptojnë se disa faqe mbeten të ekspozuara derisa zhvilluesit të lëshojnë rregullime ose përdoruesit të aplikojnë zgjidhje alternative. Një host i menaxhuar WordPress si AEU Hosting mund ta zvogëlojë atë ngarkesë pune me kopje rezervë automatike, forcim sigurie dhe përditësime në kohë, megjithëse asnjë host nuk mund të zëvendësojë nevojën për të mbajtur çdo shtojcë të instaluar të përditësuar dhe për të hequr ato të papërdorura.